Arvamusnr16/2018,

milleskäsitletakseMadalmaadepädevajärelevalveasutuseesialgsetloetelu

isikuandmetetöötlemisetoimingutest,

millesuhteskohaldatakseandmekaitsealasemõjuhinnangunõuet(isikuandmetekaitseüldmääruseartikli35lõige4)

Vastuvõetud25.septembril2018

2

Sisukord

1. Asjaoludekokkuvõte........................................................................................................4

2. Hinnang............................................................................................................................5

2.1 Andmekaitsenõukoguüldisedtähelepanekudseosesesitatudloeteluga.................5

2.2 Järjepidevusemehhanismikohaldamineesialgseloetelusuhtes.............................6

2.3 Esialgseloeteluanalüüs.............................................................................................6

Biomeetrilisedandmed....................................................................................................6

Geneetilisedandmed.......................................................................................................6

Asukohaandmed...............................................................................................................7

Määruseartikli14lõike5kohasederandidandmesubjektileteabeesitamisel..............7

Töötajatejälgimine...........................................................................................................7

Isikuandmetetöötlemine,kasutadesuut/innovaatilisttehnoloogiat..............................7

3. Järeldused/soovitused.....................................................................................................8

4. Lõppmärkused..................................................................................................................8

3

EuroopaAndmekaitsenõukogu,

võttesarvesseEuroopaParlamendijanõukogu27.aprilli2016.aastamääruse(EL)2016/679(füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumisening direktiivi 95/46/EÜ kehtetuks tunnistamise kohta) (edaspidi „määrus“) artiklit63,artikli64lõike1punktiajalõikeid3–8ningartikli35lõikeid1,3,4ja6,

võttes arvesse EMP lepingut, mida on muudetud EMP ühiskomitee 6.juuli 2018.aastaotsuseganr154/2018,eritiselleXIlisajaprotokollinr37,

võttesarvesseoma25.mail2018vastuvõetudkodukorraartikleid10ja22

ningarvestadesjärgmist:

(1) Euroopa Andmekaitsenõukogu (edaspidi „andmekaitsenõukogu“) põhiülesanne ontagada isikuandmete kaitse üldmääruse (EL) 2016/679 (edaspidi „määrus“) järjepidevkohaldamine kogu Euroopa Majanduspiirkonnas. Kooskõlas määruse artikli64 lõikega1peab andmekaitsenõukogu esitama arvamuse, kui järelevalveasutus kavatseb vastu võttaloeteluisikuandmetetöötlemisetoimingutest,millesuhteskohaldataksemääruseartikli35lõike4 kohast andmekaitsealase mõjuhinnangu nõuet. Käesoleva arvamuse eesmärk onsaavutada ühtlustatud lähenemisviis sellisele isikuandmete töötlemisele,mis on piiriülenevõimisvõibmõjutadaisikuandmetevõifüüsilisteisikutevabaliikumistEuroopaLiidus.Ehkkimäärusega ei kehtestata ühtset loetelu, edendab see järjepidevust. Andmekaitsenõukogupüüab saavutada seda eesmärki oma arvamuste kaudu sellega, et ta palubjärelevalveasutustelesitekshõlmataomaloetelugateatavatliikitöötlemistoimingud,teisekskõrvaldada mõned kriteeriumid, mis andmekaitsenõukogu meelest ei kujuta endastilmtingimata suurt ohtu andmesubjektidele, ning lõpetuseks kasutada mõnda kriteeriumiühtlustatudviisil.

(2)Määruseartikli35lõigete4ja6kohaseltpeavadpädevadjärelevalveasutusedkoostamaloetelu isikuandmetetöötlemisetoiminguteliikidest,millesuhteskohaldataksenõuettehaandmekaitsealane mõjuhinnang. Nad kohaldavad järjepidevuse mehhanismi, kui sellisedloetelud hõlmavad isikuandmete töötlemise toiminguid, mis on seotud kaupade võiteenuste pakkumisega andmesubjektidele või andmesubjektide käitumise jälgimisegamitmes liikmesriigis, või toiminguid, mis võivad oluliselt mõjutada isikuandmete vabaliikumistliidus.

(3) Ehkki pädevate järelevalveasutuste koostatavate esialgsete loetelude suhteskohaldatakse järjepidevuse mehhanismi, ei tähenda see, et need loetelud peavad olemaidentsed. Pädevatele järelevalveasutustele on jäetud riikliku või piirkondliku kontekstiarvessevõtmisekskaalutlusruumningnadpeaksidarvestamaomakohalikeõigusaktidega.Andmekaitsenõukoguhinnangu/arvamuseeesmärkeiolesaavutadaühtneELiloetelu,vaid

4

pigem vältida märkimisväärset ebajärjepidevust, mis võib mõjutada andmesubjektidevõrdsetkaitset.

(4) Vastutav töötleja on määruse artikli35 lõike1 alusel kohustatud tegemaandmekaitsealase mõjuhinnangu vaid siis, kui töötlemise tulemusena „tekib tõenäoliseltfüüsiliste isikute õigustele ja vabadustele suur oht“. Määruse artikli35 lõikes3 onkirjeldatud, mille tulemusel tekib tõenäoliselt suur oht. Esitatud loetelu ei ole täielik.Artikli29 töörühm on selgitanud oma andmekaitsealast mõjuhinnangut käsitlevatessuunistes,1mille andmekaitsenõukogu on kinnitanud,2kriteeriume, mis aitavad kindlaksteha, millal kohaldatakse isikuandmete töötlemise toimingu suhtes andmekaitsealasemõjuhinnangunõuet.Artikli29töörühmaantudsuunistesWP248onöeldud,etenamikuljuhtudel võib vastutav töötleja leida, et andmekaitsealane mõjuhinnang oleks vaja tehaselliseks isikuandmetetöötlemiseks,millepuhulontäidetudkakskriteeriumi,entvastutavtöötleja võibmõnel juhul leida, et andmekaitsealastmõjuhinnanguton vaja isikuandmetetöötlemiseks,millepuhulontäidetudvaidüksnendestkriteeriumidest.

(5)Pädevatejärelevalveasutusteesitatavadloeteludtoetavadsamaeesmärkitehakindlaksisikuandmete töötlemise toimingud,mille tulemusena tekib tõenäoliselt suur oht jamillepuhul tuleb seega teha andmekaitsealane mõjuhinnang. Hinnates seda, kas pädevatejärelevalveasutuste koostatud esialgsed loetelud mõjutavad määruse järjepidevatkohaldamist,tulekskohaldadaartikli29töörühmasuunistesväljatöötatudkriteeriume.

(6)Omaesialgseloeteluonesitanudandmekaitsenõukogule22pädevatjärelevalveasutust.Nende loetelude üldine hindamine toetab eesmärki tagada määruse järjepidevkohaldamine,ehkkiküsimusmuutubühakeerulisemaks.

(7) Andmekaitsenõukogu arvamus võetakse vastu kooskõlas määruse artikli64 lõikega3koostoimes andmekaitsenõukogu kodukorra artikli10 lõikega2 kaheksa nädala jooksulalatesesimesest tööpäevast,mis järgnebpäevale,mileesistuja japädev järelevalveasutusotsustasid, et toimik on täielik. Eesistuja otsusel võib pikendada seda ajavahemikku kuuenädalavõrra,võttesarvesseküsimusekeerukust,

ONVASTUVÕTNUDJÄRGMISEARVAMUSE:

1. Asjaolude kokkuvõte Autoriteit Persoonsgegevens (edaspidi „Madalmaade järelevalveasutus“) on esitanudandmekaitsenõukoguleomaesialgseloetelu.Otsustoimikutäielikkusekohtatehti11.juulil2018. Ajavahemikku, mille jooksul arvamus tuleb vastu võtta, on pikendatud

1Artikli29töörühmasuunised,miskäsitlevadandmekaitsealastmõjuhinnangutjasellekindlaksmääramist,kasisikuandmetetöötlemisetulemusena„tekibtõenäoliseltsuuroht“vastavaltmäärusele(EL)2016/679(WP248rev.1).2EuroopaAndmekaitsenõukogukinnitusnr1/2018.

5

25.septembrini, võttesarvesseküsimusekeerukustningarvestades,et samalajal esitasidesialgse loetelu 22pädevat järelevalveasutust ja seega tekkis vajadus üldise hindamisejärele.

2. Hinnang 2.1 Andmekaitsenõukogu üldised tähelepanekud seoses esitatud loeteluga

Iga andmekaitsenõukogule esitatud loetelu on tõlgendatud kõikidel juhtudel ülimuslikukspeetavaartikli35lõike1täpsustusena.Seegaeisaaükskiloeteluollatäielik.

Andmekaitsenõukogu on kooskõlas määruse artikli35 lõikega10 arvamusel, et kuiandmekaitsealast mõju on õigusliku aluse vastuvõtmisel tehtud üldise mõjuhinnanguraames juba hinnatud, siis kohustust teha määruse artikli35 lõigete1–7 aluselandmekaitsealanemõjuhinnangeikohaldata,väljaarvatud juhul,kui liikmesriikpeabsedavajalikuks.

Peale selle, kui andmekaitsenõukogu nõuab teatud liiki töötlemistoimingute puhulandmekaitsealastmõjuhinnangut ja riigiõiguses jubanõutaksesamaväärsetmeedet,peabMadalmaadejärelevalveasutuslisamaviitesellelemeetmele.

KäesolevarvamuseihõlmaMadalmaade järelevalveasutuseesitatud loetelukandeid,millepuhulleiti,etneedjäävadväljapoolemääruseartikli35lõike6kohaldamisala.Tegemistonkannetega,miseioleseotud„kaupadevõi teenustepakkumisegaandmesubjektidele“ega„andmesubjektide käitumise jälgimisega“ mitmes liikmesriigis. Lisaks ei ole nende puhultõenäoline,etnad„võivadoluliseltmõjutadaisikuandmetevabaliikumistliidus“.Seekehtibeelkõige kannete puhul,mis on seotud siseriiklike õigusaktidega, ja iseäranis siis, kui neisõigusaktides on sätestatud kohustus teha andmekaitsealane mõjuhinnang. Lisaks leiti, etkõik isikuandmete töötlemise toimingud, mis on seotud õiguskaitsega, jäävad väljapoolekohaldamisala,sestmäärusneideihõlma.

Andmekaitsenõukoguontähelepannud,etmitujärelevalveasutustonlisanudomaloetellumõne isikuandmete töötlemise toimingu liigi, mis on tingimata kohalik töötlemistoiming.Kuna määruse artikli35 lõige6 hõlmab vaid piiriülest töötlemist ja töötlemist, mis võibmõjutada isikuandmete ja andmesubjektide vaba liikumist, andmekaitsenõukogu neidkohalikketöötlemistoiminguideikommenteeri.

Arvamuseeesmärkonmääratledaisikuandmetetöötlemisetoimingud,midaonnimetatudjärelevalveasutusteloeteludeskorduvalt.

See tähendab, et piiratud arvu töötlemistoimingute liikide puhul, mis määratletakseühtlustatud viisil, hakkavad kõik järelevalveasutused nõudma andmekaitsealasemõjuhinnangu tegemist ja andmekaitsenõukogu soovitab järelevalveasutustel omaloetelusidvastavaltmuuta,ettagadajärjepidevus.

6

Kui andmekaitsealase mõjuhinnangu nõudega hõlmatud toimingute kohta tehtudloetelukandeid ei ole käesolevas arvamuses käsitletud, tähendab see seda, etandmekaitsenõukogueipaluMadalmaadejärelevalveasutuselvõttalisameetmeid.

Lõpetuseks tuletabandmekaitsenõukogumeelde,etvastutavatele javolitatud töötlejateleon väga oluline läbipaistvus. Loetelu kannete selgemaks muutmist silmas pidades leiabandmekaitsenõukogu,etsedaläbipaistvustvõibsuurendadasee,kuiloetelusosutatakseigaisikuandmete töötlemise toimingu liigi puhul selgelt suunistes sätestatud kriteeriumidele.Seepärast tuleks andmekaitsenõukogu meelest lisada selgitus selle kohta, milliseidkriteeriumeonMadalmaadejärelevalveasutusomaloetelukoostamiselarvessevõtnud.

2.2 Järjepidevuse mehhanismi kohaldamine esialgse loetelu suhtes

Madalmaade järelevalveasutuseesitatudesialgne loeteluhõlmab isikuandmetetöötlemisetoiminguid, mis on seotud kaupade või teenuste pakkumisega andmesubjektidele võiandmesubjektide käitumise jälgimisega mitmes liikmesriigis ja/või mis võivad oluliseltmõjutada isikuandmete vaba liikumist liidus peamiselt seetõttu, et toimingud ei piirduasjaomaseriigiandmesubjektidega.

2.3 Esialgse loetelu analüüs

Võttesarvesse,et:a. määruse artikli35 lõike1 alusel nõutakse andmekaitsealast mõjuhinnangut vaid

juhul,kuiisikuandmetetöötlemisetoimingutulemusenatekibtõenäoliseltfüüsilisteisikuteõigustelejavabadustelesuuroht,ning

b. määruse artikli35 lõikega3 on ette nähtud mittetäieliku loetelu koostamineisikuandmete töötlemise toimingutest, mille puhul on vajalik andmekaitsealanemõjuhinnang,

leiabandmekaitsenõukogujärgmist.

BIOMEETRILISEDANDMEDLoetelus, mille Madalmaade järelevalveasutus esitas andmekaitsenõukogu arvamusesaamiseks,einõutafüüsiliseisikukordumatutuvastamiseeesmärgilbiomeetrilisteandmetetöötlemiseks andmekaitsealase mõjuhinnangu tegemist. Sellega seoses soovibandmekaitsenõukogu, et Madalmaade järelevalveasutus oma loetelu vastavalt muudaks,lisades sellesse sõnaselgelt biomeetriliste andmete töötlemise füüsilise isiku kordumatutuvastamiseeesmärgil koos vähemaltühemuukriteeriumiga, ilmaet seepiiraksmääruseartikli35lõike3kohaldamist.

GENEETILISEDANDMEDLoetelus, mille Madalmaade järelevalveasutus esitas andmekaitsenõukogu arvamusesaamiseks,onettenähtud,etgeneetilisteandmetetöötlemisekson juhul,kui täidetudonka vähemalt üks muu kriteerium, vajalik andmekaitsealane mõjuhinnang.Andmekaitsenõukogu leiab, et geneetiliste andmete töötlemisega iseenesest ei kaasnetingimatasuureohutõenäosus.Entkuitäidetudonkavähemaltüksmuukriteerium,tulebgeneetiliste andmete töötlemiseks teha andmekaitsealane mõjuhinnang.

7

Andmekaitsenõukogu võtab teadmiseks selle kriteeriumi olemasolu Madalmaadejärelevalveasutuseloetelus.

ASUKOHAANDMEDAndmekaitsenõukoguonarvamusel,etasukohaandmetetöötlemisegaiseenesesteikaasnetingimatasuureohutõenäosus.Entkuitäidetudonkavähemaltüksmuukriteerium,tulebasukohaandmetetöötlemisekstehaandmekaitsealanemõjuhinnang.Andmekaitsenõukoguarvamuse saamiseks esitatud Madalmaade järelevalveasutuse loetelu 12.kande kohaselteeldab asukohaandmete töötlemine mõnel juhul iseenesest andmekaitsealasemõjuhinnangu tegemist. Andmekaitsenõukogu soovib, et Madalmaade järelevalveasutusomaloeteluvastavaltmuudaks.

MÄÄRUSEARTIKLI14LÕIKE5KOHASEDERANDIDANDMESUBJEKTILETEABEESITAMISELAndmekaitsenõukoguonarvamusel,etsedaliikitöötlemistoimingud,milletulemuselvõivadandmesubjektid ilmajäädaomaõigustest,eikujuta iseenesestsuurtohtu.Seepärastvõiksjuhul, kui andmesubjektidele esitatava teabe suhtes kohaldatakse artikli14 lõike5punktideb–dkohasterandit,nõudaisikuandmetetöötlemisetoimingupuhul,midavastutavtöötleja sooritabmääruse artikli14 alusel, andmekaitsealasemõjuhinnangu tegemist vaidsiis, kui täidetud on ka vähemalt üks muu kriteerium. Andmekaitsenõukogu arvamusesaamiseksesitatudMadalmaadejärelevalveasutuseloetelu1.kandekohaseltpiisabselleks,etnõudaisikuandmetetöötlemiseksandmekaitsealasemõjuhinnangutegemist,mõneljuhulpelgaltartikli14lõike5punktideb,cjadkohaldatavusest.Andmekaitsenõukogusoovib,etMadalmaadejärelevalveasutusomaloeteluvastavaltmuudaks.

TÖÖTAJATEJÄLGIMINEAndmekaitsenõukogu on arvamusel, et töötajate jälgimisel saadud andmete töötlemisel,millepuhulontäidetudsuunistessätestatudhaavatavateandmesubjektidejasüstemaatilisejälgimise kriteerium, võib tulenevalt töötlemise eripärast olla vajalik andmekaitsealanemõjuhinnang. Kuna loetelus, mille Madalmaade järelevalveasutus esitasandmekaitsenõukogu arvamuse saamiseks, on juba ette nähtud, et seda liikitöötlemistoimingute puhul tuleb teha andmekaitsealane mõjuhinnang,andmekaitsenõukogu vaid soovitab sõnaselgelt viidata neile kahele artikli29 töörühmasuunistes WP248 sätestatud kriteeriumile. Lisaks leiab andmekaitsenõukogu, et töötajaandmetesüstemaatilisetöötlemisemõistemääratlemiselonasjakohaneartikli29töörühmaarvamusWP249.

ISIKUANDMETETÖÖTLEMINE,KASUTADESUUT/INNOVAATILISTTEHNOLOOGIATAndmekaitsenõukoguarvamusesaamiseksesitatudMadalmaadejärelevalveasutuseloetelu14.kandesonettenähtud,et isikuandmete töötlemiseks innovaatilise tehnoloogiaabilonjuhul, kui täidetud on ka vähemalt üks muu kriteerium, vajalik andmekaitsealanemõjuhinnang.Andmekaitsenõukoguvõtabteadmisekssellekriteeriumiolemasoluloetelus.

8

3. Järeldused/soovitused Madalmaade järelevalveasutuse esialgne loetelu võib kaasa tuua andmekaitsealasemõjuhinnangunõudeebajärjepidevakohaldamise.Tehatulebjärgmisedmuudatused.

• Seoses biomeetriliste andmetega soovib andmekaitsenõukogu, et Madalmaadejärelevalveasutus oma loetelu vastavalt muudaks, lisades sellesse sõnaselgeltbiomeetrilisteandmete töötlemise füüsilise isikukordumatu tuvastamiseeesmärgilkoosvähemaltühemuukriteeriumiga.

• Seoses asukohaandmetega soovib andmekaitsenõukogu, et Madalmaadejärelevalveasutus oma loetelumuudaks, kuna asukohaandmete töötlemiseks tulebtehaandmekaitsealanemõjuhinnangvaidsiis,kuitäidetudonkavähemaltüksmuukriteerium.

• Seoses määruse artikli14 lõike5 kohaste eranditega andmesubjektile teabeesitamisel soovib andmekaitsenõukogu, et Madalmaade järelevalveasutus omaloetelumuudaks,kunaantudjuhulonandmekaitsealanemõjuhinnangvajaliküksnessiis,kuitäidetudonkavähemaltüksmuukriteerium.

• Seoses töötajate jälgimisegasoovitabandmekaitsenõukoguvaid sõnaselgeltviidatakaheleartikli29töörühmasuunistesWP248sätestatudkriteeriumile.

4. Lõppmärkused Käesolev arvamus on suunatud Madalmaade järelevalveasutusele AutoriteitPersoonsgegevensjaseeavalikustataksekooskõlasmääruseartikli64lõike5punktigab.

Vastavalt määruse artikli64 lõigetele7 ja 8 annab järelevalveasutus kahe nädala jooksulpärast arvamuse saamist eesistujale elektroonilisel teel teada, kas ta jääb esialgse loetelujuurde või muudab seda. Sama ajavahemiku jooksul esitab järelevalveasutus muudetudesialgseloeteluvõikuitaeikavatseandmekaitsenõukoguarvamustarvessevõtta,põhjused,mikstaleiolekavasarvamusttervikunavõiosaliseltjärgida.

EuroopaAndmekaitsenõukogunimel

eesistuja

(AndreaJelinek)